International

Source: Anthropic — Contexte: Anthropic détaille une collaboration avec Mozilla où son modèle Claude Opus 4.6 a servi à découvrir et aider à corriger des vulnérabilités dans Firefox, avec publication de correctifs dans Firefox 148.0. 🔍 Découvertes clés: Claude Opus 4.6 a identifié 22 vulnérabilités en deux semaines, dont 14 de haute gravité (près d’un cinquième des vulnérabilités haute gravité remédiées en 2025). Mozilla a expédié des correctifs à des centaines de millions d’utilisateurs dans Firefox 148.0, le reste arrivant dans des versions ultérieures. En février 2026, ces signalements dépassent tout mois individuel de 2025. ...

Selon Google Threat Intelligence Group (GTIG), cette rétrospective 2025 couvre 90 vulnérabilités zero‑day exploitées, met l’accent sur les techniques observées et évoque comment l’IA pourrait accélérer le paysage des vulnérabilités. 📈 Tendances clés. Pour la première fois, l’exploitation attribuée aux fournisseurs de surveillance commerciale (CSV) dépasse celle des groupes étatiques traditionnels, illustrant la démocratisation de l’accès aux zero‑days via ces vendeurs et leurs clients. Les groupes d’espionnage liés à la Chine (PRC‑nexus) demeurent toutefois les plus prolifiques parmi les acteurs étatiques (au moins 10 zero‑days, davantage qu’en 2024 mais moins qu’en 2023), ciblant surtout des équipements réseau/edge difficiles à surveiller (ex. CVE‑2025‑21590 par UNC3886, CVE‑2025‑0282 par UNC5221) et montrant une réduction du temps entre divulgation publique et exploitation de n‑days. À l’inverse de 2024, aucun zero‑day n’a été attribué à des groupes nord‑coréens en 2025. ...

Selon un avis de sécurité GitHub (dépôt QwikDev/qwik) publié le 2 mars 2026, le package npm @builder.io/qwik est affecté par une faille critique permettant une exécution de code à distance non authentifiée. • Nature de la vulnérabilité : désérialisation de données non fiables (CWE-502) au sein du mécanisme RPC server$, ouvrant la voie à l’exécution de code arbitraire sur le serveur via une seule requête HTTP. L’impact sur le système vulnérable est évalué élevé en confidentialité, intégrité et disponibilité. ...

Selon The Verge, DJI a décidé de récompenser de 30 000 $ le chercheur Sammy Azdoufal après la mise en lumière d’un accès à un réseau d’environ 7 000 aspirateurs robots Romo, tout en précisant avoir déjà corrigé une faille de visualisation de flux vidéo sans PIN et en préparer d’autres correctifs. • Paiement et attribution 🎁 — DJI confirme avoir « récompensé » un chercheur (sans le nommer) et, d’après l’email partagé avec The Verge, versera 30 000 $ pour une seule découverte, sans préciser laquelle. Ce développement intervient après la révélation mi-février d’un accès à des milliers de Romo permettant d’observer l’intérieur de foyers. ...

Source: blog d’adnanthekhan (3 mars 2026). Contexte: découverte en décembre 2025 d’une mauvaise configuration GitHub Actions dans le dépôt angular/dev-infra, exploitée pour montrer une escalade via empoisonnement du cache jusqu’à un scénario plausible de compromis de supply chain d’Angular. Google a corrigé la vulnérabilité et indique qu’il n’existe plus de risque pour les utilisateurs d’Angular. – Le point de départ est un workflow “Worklow Testing” déclenché par pull_request_target utilisant la variable ${{ github.head_ref }} dans une commande shell, permettant une injection via le nom de branche. Bien que le GITHUB_TOKEN fût en lecture seule et sans secrets, l’auteur a recherché un pivot via GitHub Actions Cache Poisoning. ...

Politico (Maggie Miller) rapporte qu’Israël a frappé à Téhéran un complexe attribué au quartier général cyber et électronique du Corps des gardiens de la révolution islamique (CGRI/IRGC), alors même que des opérations pro-iraniennes continuent de viser des infrastructures régionales. 💥 L’IDF évoque une « frappe de grande ampleur » contre plusieurs sites militaires à l’est de Téhéran, incluant le QG cyber et électronique et la Direction du renseignement du CGRI. L’ampleur des dégâts et d’éventuelles victimes restent inconnues, l’Iran étant sous quasi black-out internet depuis le 28 février, ce qui limite les informations disponibles. Les porte-parole de l’IDF, de l’ambassade d’Israël à Washington, de la Maison Blanche et de l’USCENTCOM n’ont pas commenté. ...

Source: OX Security (OX Research). Contexte: les chercheurs dévoilent une vulnérabilité critique dans FreeScout convertissant une RCE authentifiée récemment corrigée en RCE non authentifiée et zero‑click, affectant toutes les versions jusqu’à 1.8.206 et corrigée en v1.8.207. 🚨 Vulnérabilité: CVE‑2026‑28289 (Remote Code Execution, non authentifiée, zero‑click, sévérité critique). Un simple email spécialement conçu, envoyé à une adresse gérée par FreeScout, permet l’exécution de code sur le serveur sans authentification ni interaction utilisateur. La faille résulte d’un contournement du correctif précédent (lié à CVE‑2026‑27636) via une faille de validation de nom de fichier. ...

Source : non précisée — Contexte : annonce d’un nouvel outil qui intègre CyberChef au sein d’IDA Pro pour accélérer les workflows d’analyse de malware et de rétro‑ingénierie. • Qu’est‑ce que c’est ? 🧩 Un plugin Qt (« IDA CyberChef ») qui embarque le moteur CyberChef dans l’interface d’IDA Pro afin d’éviter les allers‑retours avec l’UI web de CyberChef. Il s’intègre avec des fonctions d’IDA (lecture du curseur/sélection, ajout de commentaires, patching d’octets) et permet de composer/chaîner des opérations (ex. Base64, XOR) directement dans l’outil. ...

Source: GitHub (aquasecurity/trivy). Les mainteneurs annoncent qu’un workflow GitHub Actions vulnérable a été exploité (cf. billet StepSecurity), entraînant des actions malveillantes sur le dépôt Trivy et des artefacts associés; le workflow en cause a été corrigé et la restauration est en cours. Impact observé (confirmé par les mainteneurs): Le dépôt public a été rendu privé et renommé (aquasecurity/private-trivy), puis un dépôt vide a été poussé à la place. Suppression des Releases 0.27.0 à 0.69.1, ainsi que des Discussions et Assets liés à ces releases. Publication d’un artefact malveillant pour l’extension VSCode de Trivy sur l’Open VSIX Marketplace; l’artefact a été retiré et le jeton de publication révoqué. Les autres assets Trivy ont été examinés; pas d’autres impacts observés à ce stade. L’usage via images container ou gestionnaires de paquets ne devrait pas être affecté. Les téléchargements directs (binaire GitHub, get.trivy.dev, script d’installation, Action Trivy) sont dégradés. v0.69.2 a été republiée. Chronologie (UTC) fournie par les mainteneurs 🚨: ...

Selon Help Net Security (article de Sinisa Markovic, 6 mars 2026), sept gouvernements réunis au sein de la Global Coalition on Telecoms (GCOT) ont publié des « 6G Security and Resilience Principles » pour encadrer le développement de réseaux 6G centrés sur la sécurité et la résilience. 🔐 Les nouveaux Principes de sécurité et de résilience 6G fixent ce que les gouvernements attendent de l’industrie: des systèmes 6G protégés contre les menaces cyber et physiques, adossés à des chaînes d’approvisionnement résilientes, capables d’offrir un service fiable. ...